Malware en el PC de un contratista de Daiichikosho (unos 8,72 millones de registros): podrían haberse filtrado nombres, fechas de nacimiento y teléfonos de miembros de Big Echo y otras marcas — qué hacer

Según la compañía, los datos corresponden a clientes que se registraron como miembros o hicieron reservas en sus tiendas. El desglose figura abajo. Todas las cifras son aproximadas, y los duplicados (unos 515.000) se han eliminado del total.

• Relacionados con Big Echo: unos 5.558.000
• Relacionados con DK Dining: unos 3.462.000
• Relacionados con Karaoke CLUB DAM: unos 74.000
• Relacionados con Mega Big: unos 43.000
• Relacionados con Banana Club: unos 5.000
• Relacionados con B-GARAGE: unos 4.000

Además, se incluyen unos 93.000 registros de empleados. El aviso no dice si abarca solo al personal actual o también al anterior.

A 10 de octubre, los avisos no dicen si se contactará individualmente a las personas afectadas ni cómo comprobar si está incluido. Si alguna vez se registró o reservó en alguna de las marcas anteriores, dé por hecho que está incluido y siga los pasos siguientes.

La compañía advierte de que, si los datos se filtraron, podrían usarse para correos suplantados y phishing. Pide estar atento a correos, mensajes de texto y llamadas sospechosos y no abrir enlaces ni archivos adjuntos desconocidos.

Los programas de membresía de karaoke y restaurantes envían habitualmente cupones, avisos de nivel de membresía y recordatorios de puntos. Por eso, los falsos mensajes de «reclame su cupón», «actualice su membresía» o «sus puntos caducan» son difíciles de distinguir de los reales. No abra el enlace; compruebe si el mismo aviso aparece en la app oficial o en un sitio oficial que haya guardado usted mismo en sus marcadores (cómo detectar fraudes: ¿Qué es el phishing?).

La compañía afirma que nunca pedirá contraseñas ni datos de tarjetas de crédito. No responda a mensajes que los pidan en nombre de una disculpa, una compensación o puntos adicionales. Si ya los introdujo, cambie la contraseña de ese servicio o, si dio datos de tarjeta, llame a su entidad emisora.

A partir de aquí, este es el consejo de este sitio. A diferencia de una contraseña, su fecha de nacimiento no puede cambiarse después. Como podría haberse filtrado, si usa los 4 o 6 dígitos de su fecha de nacimiento como PIN de tarjeta bancaria o de teléfono, o como parte de una contraseña, cámbielo.

Como su nombre y su correo electrónico también podrían ser conocidos, las contraseñas del tipo «nombre + cumpleaños» son fáciles de probar. Al sustituir una contraseña, un gestor de contraseñas es la forma práctica de crear una que sea larga y no tenga relación con usted.

Cuando quien llama «confirma su identidad» leyendo su nombre y fecha de nacimiento, puede parecer oficial. Nombre, fecha de nacimiento y teléfono están todos entre los datos de este caso, lo que facilita fingir estas llamadas. Si alguien le llama, no responda a sus preguntas en el momento; cuelgue y vuelva a llamar al número indicado en el sitio web oficial de la compañía.

La línea de consultas de la compañía es gratuita 0120-732-079 (de 10:00 a 17:00, hora de Japón, excepto fines de semana y festivos, llamadas desde Japón) y el correo incident-desk@dkkaraoke.co.jp (según su aviso del 9 de octubre). Indica que puede usarse el correo si la línea telefónica está ocupada. Confirme el número y la dirección en el sitio web oficial de la compañía, no a partir de un correo o SMS recibido.

Al externalizar tabulación, envíos postales o análisis, exportar toda la base de datos de miembros lleva al PC del contratista columnas y marcas que la tarea nunca usa. Para cada tarea, decida qué columnas son realmente necesarias antes de entregar nada.

Por ejemplo: rangos de edad en lugar de fechas de nacimiento completas para informes por grupos de edad, sin correo ni teléfono en trabajos que no implican contacto, números de socio en lugar de nombres. Si el trabajo se divide por marca, divida también los archivos. Como primer paso, elija un archivo que envíe periódicamente a un contratista y revíselo columna por columna con el contratista, preguntando si la tarea usa cada una.

Una vez que los datos se guardan en el PC de un empleado del contratista, la protección contra malware y el estado de actualización de ese PC pasan a proteger a sus clientes, y usted no puede ver ninguno de los dos. Cuando sea posible, haga que los contratistas trabajen en un entorno que usted gestione (un escritorio virtual que solo transmite la pantalla, o un espacio de trabajo compartido con descargas bloqueadas) para que no queden archivos en sus PC.

Para el trabajo que realmente necesite una copia local, exija cifrado, eliminación al terminar la tarea y un plazo para confirmarle la eliminación.

La Ley japonesa de Protección de la Información Personal obliga a la empresa que externaliza el tratamiento de datos personales a ejercer una supervisión necesaria y adecuada sobre el contratista (artículo 25). Para concretar esa supervisión, incluya lo siguiente en el contrato o en un memorando:

• Requisitos para los dispositivos que tratan datos de clientes: una herramienta que detecte y registre la actividad de malware (como EDR), actualizaciones del sistema operativo y del software, cifrado de disco, y prohibición de tratar datos en dispositivos personales
• Dónde pueden almacenarse los datos de clientes y el plazo para eliminarlos tras el trabajo
• Qué ocurre cuando se detecta una infección o intrusión: un plazo para una primera notificación que no espere a la investigación del alcance (por ejemplo, en 24 horas), fijado por separado del plazo para el informe de investigación

Compruebe una vez al año que el contratista cumple estos requisitos, mediante un informe escrito sobre cómo gestiona sus dispositivos o los resultados de su autoevaluación.